非金融机构支付服务业务系统技术标准符合性和安全性检测规范.doc

资源描述

非金融机构支付服务业务系统技术标准符合性和安全性检测规范.doc

《非金融机构支付服务业务系统技术标准符合性和安全性检测规范.doc》由会员分享，可在线阅读，更多相关《非金融机构支付服务业务系统技术标准符合性和安全性检测规范.doc（24页珍藏版）》请在冰点文库上搜索。

非金融机构支付服务业务系统技术标准符合性和安全性检测规范.doc

非金融机构支付服务业务系统技术标准符

合性和安全性检测规范

（预付卡部分）

中国人民银行科技司

2010年12月11日

第一部分总则……………………………………………………………………………………3

一、检测依据………………………………………………………………………………………3

二、检测目标………………………………………………………………………………………3

三、启动准则………………………………………………………………………………………4

四、术语定义………………………………………………………………………………………4

五、适用范围………………………………………………………………………………………5

第二部分检测内容………………………………………………………………………………5

一、功能测试………………………………………………………………………………………5

二、风险监控测试…………………………………………………………………………………7

三、性能测试………………………………………………………………………………………8

四、安全性测试……………………………………………………………………………………8

五、文档测试………………………………………………………………………………………15

第三部分外包附加测试…………………………………………………………………………16

附录一测试过程风险分析…………………………………………………………………………18

附录二检测评判准则………………………………………………………………………………19

一、问题等级分类…………………………………………………………………………………19

二、检测结果判定…………………………………………………………………………………20

第一部分总则

一、检测依据

1．ISO9564银行业务个人识别码的管理和安全

2．GB/T17544-1998信息技术软件包质量要求和测试

3．GB/T16260-2006软件工程产品质量

4．GB/T18905-2002软件工程产品评价

5．GB/T8567-2006计算机软件文档编制规范

6．GB/T9385-2008计算机软件需求规格说明规范

7．GB/T9386-2008计算机软件测试文档编制规范

8．GB/T14394-2008计算机软件可靠性和可维护性管理

9．GB/T15481-2000检测和校准实验室能力的通用要求

10．GB/T19584-2004银行卡磁条信息格式和使用规范

11．GB/T18336-2008信息技术安全技术信息技术安全性评估准则

12．GB17859-1999计算机信息系统安全保护等级划分准则

13．JR/T0052-2009银行卡卡片规范

14．JR/T0001-2009银行卡销售点（POS）终端规范

15．JR/T0025-2010中国金融集成电路（IC）卡规范

16．《非金融机构支付服务管理办法》（中国人民银行令[2010]第2号）

二、检测目标

检测目标是在系统版本确定的基础上，对非金融机构支付服务（预付卡）系统功能、风险监控、性能、安全性、文档和外包六项检测类进行测试，客观、公正评估系统是否符合中国人民银行对支付服务业务系统的技术标准符合性和安全性要求，保障我国支付业务设施的安全稳定运作。

三、启动准则

1．非金融机构提交的支付服务业务系统被测版本与生产版本一致；

2．非金融机构支付服务业务系统内部测试进行完毕；

3．非金融机构已将与检测机构共同制定的经双方签字的检测计划报中国人民银行备案；

4．系统需求说明书、系统设计说明书、用户手册、安装手册等相关文档准备完毕；

5．测试环境准备完毕，具体包括：

（1）测试环境与生产环境一致或者基本一致，其中网络安全性、主机安全性、数据安全性和运维安全性测试尽量在生产环境下进行；

（2）支付服务业务系统被测版本及其他相关外围系统和设备已完成部署并配置正确；

（3）用于功能和性能测试的基础数据准备完毕；

（4）测试用机到位，系统及软件安装完毕；

（5）测试环境网络配置正确，连接通畅，可以满足测试需求。

四、术语定义

1．非金融机构支付服务：

是指非金融机构在收付款人之间作为中介机构提供下列部分或全部货币资金转移服务。

（1）网络支付；

（2）预付卡的发行与受理；

（3）银行卡收单；

（4）中国人民银行确定的其他支付服务。

2．预付卡：

是指以营利为目的发行的、在发行机构之外购买商品或服务的预付价值，包括采取磁条、芯片等技术以卡片、密码等形式发行的预付卡。

五、适用范围

第三方检测机构按照本规范制定非金融机构支付服务业务系统技术标准符合性和安全性检测方案。

非金融机构若将支付服务业务系统外包给第三方服务机构，则还应按照本规范要求进行附加测试。

第二部分检测内容

一、功能测试

验证支付服务业务系统的业务功能是否正确实现，测试系统业务处理的准确性，测试内容如下：

编号

检测项

检测说明

账户管理

客户账户管理（客户可以自行修改密码/个性化登记资料）

联机交易类必测项

卡片管理（功能实现、流程及管理制度、落实程度）

已实现功能建议全部提交测试、未实现功能不做强制测试，部队测试结果造成影响

制卡（功能实现、流程及管理制度）

必测项

卡片发行

必测项

卡片激活

必测项

充值

卡片有效期延长

换卡

必测项

补卡

密码修改/密码重置

卡片冻结/解冻

卡片挂失/解挂

锁卡/解锁

退卡

销卡

密钥和证书管理

建议不申报

认证中心公钥管理

发卡机构密钥管理

IC卡密钥管理

脱机交易类必测项

发卡机构证书管理

IC卡证书管理

密码卡：

以密码形式发行的预付卡。

交易处理

（功能实现、流程及管理制度、落实程度）已实现功能建议全部提交测试、未实现功能不做强制测试，部队测试结果造成影响

业务完整性和用户操作过程是测试重点

联机消费

联机交易类必测项

联机消费撤销

必测项（密码卡1不适用）

联机余额查询

必测项（密码卡不适用）

退货

必测项（密码卡不适用）

冲正交易

必测项（密码卡不适用）

异常卡交易

必测项

现金圈存/圈提

指定账户圈存

指定账户圈存撤销

非指定账户圈存

非指定账户圈存撤销

IC卡脚本通知

圈提

脱机消费

脱机交易类必测项

脱机消费文件处理

脱机交易类必测项

脱机余额查询

脱机交易类必测项

交易查询

必测项

资金结算

（功能实现、流程及管理制度、落实程度）

工作流程设计、管理制度、落实程度是测试重点

客户结算

对账处理

（功能实现、流程及管理制度、落实程度）

功能实现是测试重点

发送对账请求

生成对账文件

差错处理

（功能实现、流程及管理制度、落实程度）

工作流程设计、管理制度、落实程度是测试重点

长款/短款处理

必测项

统计报表

（功能实现、流程及管理制度、落实程度）

用户分级、报表对管理需求的满足程度是测试重点

业务类报表

必测项

运行管理类报表

必测项

二、风险监控测试

验证支付服务业务系统的账户及交易风险，测试内容如下：

编号

检测项

检测说明

联机交易风险管理

（功能实现、流程及管理制度、落实程度）已实现功能建议全部提交测试、未实现功能不做强制测试，部队测试结果造成影响

业务完整性和用户操作过程是测试重点

圈存交易ARQC/ARPC验证

联机报文MAC验证

卡片状态控制

单笔消费限额

当日累计消费限额

当日累计消费次数限制

单笔充值金额最大值

账户余额限额

必测项

大额消费商户交易监控

密码错误情况下的交易请求

非法卡号交易

必测项

卡片有效期检查

无磁无密交易

脱机交易风险管理

TAC验证

脱机交易类必测项

MAC验证

脱机交易类必测项

终端风险管理

（功能实现、流程及管理制度、落实程度）

工作流程设计、管理制度、落实程度是测试重点

POS机申请、参数设置、程序灌装、使用、更换、维护、撤消的管理

POS机密钥和参数的安全管理

控制移动POS机的安装

终端安全检测报告

密码键盘安全检测报告

终端监控

三、性能测试

对支付服务业务系统性能测试的主要目的是验证系统是否满足未来两年业务运行的性能需求。

测试内容包括以下三个方面：

一是验证系统是否支持业务的多用户并发操作；二是验证在规定的硬件环境条件和给定的业务压力下，考核系统是否满足性能需求和压力解除后系统自恢复能力；三是测试系统性能极限。

根据以上性能测试内容，并结合典型交易、复杂业务流程、频繁的用户操作、大数据量处理等原则，选取以下测试业务点：

编号

检测项

检测说明

联机消费

联机交易类必测项

联机余额查询

必测项（密码卡不适用）

联机交易明细查询

批量发行

批量充值

批量作废

脱机消费文件处理

脱机交易类必测项

日终批处理

1-3项是测试重点

四、安全性测试

1．网络安全性测试

对支付服务业务系统网络环境进行检测，考察经网络系统传输的数1据安全性以及网络系统所连接的设备安全性，评估系统网络环境是否能够防止信息资产的损坏、丢失，敏感信息的泄漏以及业务中断，是否能够保障业务的持续运营和保护信息资产的安全。

检测内容如下：

编号

检测项

检测说明

结构安全

核心网络设备、认证设备、可能影响业务的安全设备必须满足冗余部署要求；

不同安全等级要求的服务器域必须按照不同子网划分，主要数据通道具备QOS保障

（1）网络冗余和备份

（2）网络安全路由器

（3）网络安全防火墙

（4）网络拓扑结构

（5）IP子网划分

（6）QoS保证

必测项

网络访问控制

任何服务器不得直接暴露给远程客户，网络和系统边界具备相应的安全控制设备和机制，确保访问来源合法

（

（1）网络域安全隔离和限制

（2）地址转换和绑定

（3）内容过滤

（4）访问控制

（5）流量控制

（6）会话控制

（7）远程拨号访问控制和记录

必测项

网络安全审计

对主要网络、安全控制设备的管理用户实时分级，并至少进行系统级操作审计；

具备独立的设备及工具对网络进行故障分析、预警

（1）日志信息

（2）网络系统故障分析

（3）网络对象操作审计

（4）日志权限和保护

（5）审计工具

必测项

边界完整性检查

完整的网络边界、无计划外的本地终端或主机；远程的终端或主机必须通过网络边界的隔离安全设备控制渠道访问。

（1）内外网非法连接阻断和定位

必测项

网络入侵防范

独立的网络入侵防范措施；日常工作流程及落实程度

（1）网络ARP欺骗攻击

（2）信息窃取

（3）DOS/DDOS攻击

（4）网络入侵防范机制

必测项

恶意代码防范

同上

（1）恶意代码防范措施

（2）定时更新

必测项

网络设备防护

网络设备管理帐户分级；登录审计；管理操作来源限制；安全隐患服务端口关闭；管理措施及落实程度

（1）设备登录设置

（2）设备登录口令安全性

（3）登录地址限制

（4）远程管理安全

（5）设备用户设置策略

（6）权限分离

（7）最小化服务

必测项

网络安全管理

管理措施及落实程度

（1）网络设备运维手册

（2）定期补丁安装

（3）漏洞扫描

（4）网络数据传输加密

必测项

网络相关人员

安全管理

管理措施及落实程度

（1）网络安全管理人员配备

（2）网络安全管理人员责任划分规则

（3）网络安全关键岗位人员管理

必测项

2．主机安全性测试

对支付服务业务系统主机安全防护进行检测，考察主机的安全控制能力。

检测内容如下：

编号

检测项

必测项

身份鉴别

服务器管理帐户分级；管理操作来源限制及认证

（1）系统与应用管理员用户设置

（2）系统与应用管理员口令安全性

（3）登录策略

必测项

访问控制

对非本安全域（同一功能子系统）之间的主机访问来源限制及认证

（1）访问控制范围

（2）主机信任关系

（3）默认过期用户

必测项

安全审计

统一、完整的日志管理；管理用户系统级操作审计

（1）日志信息

（2）日志权限和保护

（3）系统信息分析

（4）用户操作审计

必测项

系统保护

定期的系统配置、日志备份管理及落实程度；

系统基本资源监控及预警；主机系统配置定制标准及其优化落实

（1）系统备份

（2）故障恢复策略

（3）磁盘空间安全

（4）主机安全加固

必测项

剩余信息保护

日志备份管理及删除机制

（1）过期信息、文档处理

必测项

入侵防范

系统优化

（1）入侵防范记录

（2）关闭服务和端口

（3）最小安装原则

必测项

恶意代码防范

反病毒软件部署

（1）防范软件安装部署

（2）病毒库定时更新

（3）防范软件统一管理

必测项

资源控制

不重点考评

（1）连接控制

（2）资源监控和预警

必测项

主机安全管理

管理制度及落实程度

（1）主机运维手册

（2）漏洞扫描

（3）系统补丁

（4）操作日志管理

必测项

主机相关人员安全管理

管理制度及落实程度

（1）主机安全管理人员配备

（2）主机安全管理人员责任划分规则

（3）主机安全关键岗位人员管理

必测项

3.应用安全性测试

对支付服务业务系统应用安全性检测，主要检测应用系统对非法访问及操作的控制能力。

检测内容如下：

编号

检测项

检测说明

身份鉴别

管理帐户分级；

访问来源控制；

强用户认证机制

（1）系统与普通用户设置

（2）系统与普通用户口令安全性

（3）登录访问安全策略

（4）非法访问警示和记录

（5）客户端鉴别信息安全

（6）口令有效期限制

（7）限制认证会话时间

（8）身份标识唯一性

（9）及时清除鉴别信息

必测项

WEB页面安全

仅限于用户查询及信息维护；不得加入支付业务功能。

强制使用1、2、3、4项安全机制；

如果放弃网上客户信息服务可不测试本部分。

（1）图片验证码

（2）安全控件

（3）使用数字证书

（4）独立的支付密码

（5）网站页面SQL注入防范

（6）网站页面跨站脚本攻击防范

（7）网站页面源代码暴露防范

（8）网站页面黑客挂马防范

（9）网站页面防篡改措施

（10）网站页面防钓鱼

（11）工商局ICP备案

必测项

访问控制

非本安全域内的访问必须通过相应的安全控制设备进行管理；

完备的系统及日志记录；

关键数据必须有足够的保护机制

（1）访问权限设置

（2）自主访问控制范围

（3）业务操作日志

（4）关键数据存放

（5）异常中断防护

（6）数据库安全配置

必测项

安全审计

至少管理帐户的登入登出需要进行统一的日志记录和分级权限审计

（1）日志信息

（2）日志权限和保护

（3）系统信息查询与分析

（4）对象操作审计

（5）审计工具

（6）事件报警

必测项

剩余信息保护

日志备份及删除机制

（1）过期信息、文档处理

必测项

资源控制

不重点考评

（1）连接控制

（2）会话控制

（3）进程资源分配

（4）资源检测预警

必测项

应用容错

正确的错误信息提示及流程

（1）数据有效性校验

（2）容错机制

（3）故障机制

（4）回退机制

必测项

报文完整性

是否有相应的措施并落实

（1）通信报文有效性

必测项

报文保密性

是否有相应的措施并落实

（1）报文或会话加密

必测项

抗抵赖

交易来源强认证；交易过程日志完备

（1）原发和接收证据

必测项

编码安全

源代码管理机制及其落实程度

（1）源代码审查

（2）插件安全性审查

（3）编码规范约束

（4）源代码管理

（5）版本管理

必测项

电子认证应用

系统与用户端的交易数据传输必须具备专门的认证手段（PSAM卡物理认证、第三方证书、密码机、动态口令卡等）

（1）第三方电子认证机构

（2）关键业务电子认证技术应用

（3）电子签名有效性

（4）服务器证书私钥保护

必测项

脱机数据认证

（1）密钥和证书

（2）静态数据认证

（3）动态数据认证

脱机交易类必测项

应用密文和发卡机构认证

管理手段及落实程度

（1）应用密文产生

（2）发卡机构认证

（3）密钥管理

脱机交易类必测项

安全报文

管理手段及落实程度

（1）报文格式

（2）报文完整性验证

（3）报文私密性

（4）密钥管理

脱机交易类必测项

卡片安全

管理手段及落实程度

（1）共存应用

（2）密钥的独立性

（3）卡片内部安全体系

（4）卡片中密钥的种类

脱机交易类必测项

终端安全

管理手段及落实程度

（1）终端数据安全性要求

（2）终端设备安全性要求

（3）终端密钥管理要求

脱机交易类必测项

密钥管理体系

管理手段及落实程度

（1）认证中心公钥管理

（2）发卡机构公钥管理

（3）发卡机构对称密钥管理

脱机交易类必测项

安全机制

（1）对称加密机制

（2）非对称加密机制

脱机交易类必测项

认可的算法

（1）对称加密算法

（2）非对称加密算法

（3）哈希算法

脱机交易类必测项

4.数据安全性测试

对支付服务业务系统数据安全防护进行检测，主要考察数据的传输、存储、备份与恢复安全性。

检测内容如下：

编号

检测项

检测项目

数据保护

客户个性化信息加密传输存储；

业务数据、会计数据备份、保管机制及落实程度

（1）客户身份信息保护

（2）支付业务信息保护

（3）会计档案信息保护

必测项

数据完整性

数据库管理安全保障机制及其落实；

数据备份、

（1）重要数据更改机制

（2）数据备份记录

（3）保障传输过程中的数据完整性

（4）备份数据定期恢复

必测项

交易数据以及客户数据的安全性

（1）数据物理存储安全

（2）客户身份认证信息存储安全

（3）终端信息采集设备硬加密措施或其它防伪手段

（4）同一安全级别和可信赖的系统之间信息传输

（5）加密传输

（6）加密存储

（7）数据访问控制

（8）在线的存储备份

（9）数据备份机制

（10）本地备份

（11）异地备份

（12）备份数据的恢复

（13）数据销毁制度和记录

（14）关键链路冗余设计

必测项

5.运维安全性测试

对支付服务业务系统运维安全进行检测，主要考察运维安全管理制度及运维安全执行情况。

检测内容如下：

编号

检测项

检测项目

环境管理

（1）机房基础设施定期维护

（2）机房的出入管理制度化和文档化

（3）办公环境的保密性措施

（4）机房安全管理制度

（5）机房进出登记表

必测项

介质管理

（1）介质的存放环境保护措施

（2）介质的使用管理文档化

（3）维修或销毁介质之前清除敏感数据

（4）介质管理记录

（5）介质的分类与标识

必测项

设备管理

（1）设备管理的责任人员或部门

（2）设施、设备定期维护

（3）设备选型、采购、发放等的审批控制

（4）设备配置标准化

（5）设备的操作规程

（6）设备的操作日志

（7）设备使用管理文档

（8）设备标识

必测项

人员管理

（1）人员录用

（2）人员转岗、离岗

（3）人员考核

（4）安全意识教育和培训

（5）外部人员访问管理

（6）职责分离

必测项

监控管理

（1）主要网络设备的各项指标监控情况

（2）主要服务器的各项指标监控情况

（3）应用运行各项指标监控情况

（4）异常处理机制

必测项

变更管理

（1）变更方案

（2）变更制度化管理

（3）重要系统变更的批准

（4）重要系统变更的通知

必测项

安全事件处置

（1）安全事件报告和处置

（2）安全事件的分类和分级

（3）安全事件记录和采取的措施

必测项

应急预案管理

（1）制定不同事件的应急预案

（2）相关人员应急预案培训

（3）定期演练

必测项

6.业务连续性测试

对支付服务业务系统业务连续性进行检测，主要考察系统是否具备业务连续性管理并达到设计目标。

检测内容如下：

编号

检测项

检测说明

业务连续性需求分析

（1）业务中断影响分析

（2）灾难恢复时间目标和恢复点目标

必测项

业务连续性技术环境

（1）备份机房

（2）网络双链路

（3）网络设备和服务器备份

（4）高可靠的磁盘阵列

（5）远程数据库备份

必测项

业务连续性管理

（1）业务连续性管理制度

（2）应急响应流程

（3）恢复预案

（4）数据备份和恢复制度

必测项

备份与恢复管理

（1）备份数据范围和备份频率

（2）数据备份和恢复手册

（3）备份记录和定期恢复测试记录

（4）定期数据备份恢复性测试

必测项

日常维护

（1）每年业务连续性演练

（2）定期业务连续性培训

必测项

五、文档测试

对支付服务业务系统的用户文档、开发文档、管理文档的完备性、一致性、正确性、规范性，以及是否符合行业标准，是否遵从更新控制和配置管理的要求等方面进行检测。

检测内容如下：

编号

检测项

检测说明

用户文档

用户手册

（1）文档密级管理

（2）文档登记和保管

（3）文档内容：

文档完整性、可操作性、文字描述的准确性、一致性

必测项

操作手册

（1）文档密级管理

（2）文档登记和保管

（3）文档内容：

文档完整性、可操作性、文字描述的准确性、一致性

必测项

开发文档

需求说明书

（1）文档密级管理

（2）文档登记和保管

（3）文档内容：

文档完整性、可操作性、文字描述的准确性、一致性

必测项

需求分析文档

（1）文档密级管理

（2

展开阅读全文